  
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者:1335csy [3.A.S.T]
2 H \( B/ F/ b+ l/ e, x3 V* E- r* e/ e$ W/ n) s% ]" Y
信息来源:3.A.S.T网络安全团队 ( www.3ast.com.cn ). c8 p3 }1 }% U
& {) q& b$ H3 |& D: b' Y
来了3AST很久了 也没有写上什么有点价值的帖子,今天这个帖子算是抛砖引玉吧。。5 B* k. x. d, M2 g+ a5 W. P
/ m& p. W( i6 W) g" V: j V& \8 g免杀也弄了有点时间了。。现在分享下我的经验。
. t& j2 w' K3 g' h& j* A( M5 l7 A6 a; z# a3 @% P3 H
首先建议新手朋友要学会定位表面特征码和内存特征码(定位方法有细微差别)
1 _1 i# |+ f3 W0 C6 [4 R. ?
{/ f$ i) A* \ l9 H修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。& w, v% M* Q4 ^" b) p5 t4 ^
: N( U [7 G# L$ J' v) R4 |
第二个是要学会写自己的花指令,不要以为免杀怎么难,多么难,只要你会一点基本的汇编,: g# ~6 Q& d- ^3 ]2 A
7 i! `; z7 |& O1 j8 P再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。% T7 j3 v3 x3 s/ a+ b* |
% n0 B8 l4 j- T
很多新手朋友曾经都这么问,什么是花指令?所谓花指令,就是一些,没有用的指令,4 x7 ~! C2 ^6 @9 E
; w8 @) Z# e4 J" ^其作用是干扰杀软的查杀,写花指令最重要的是维持堆栈的平衡,很简单。
- E5 o% |5 A; y9 t; i$ Y; R* F( [# j
顺便说下,花指令对卡巴有特效,但是并不意味着,一个花指令就可以把卡巴斯基搞定。6 ?6 Q, I4 h" T9 G3 N5 T' O$ H9 u
. ~7 Q4 N1 d* P# L% l对付卡巴斯基, 需要多种方法结合, 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。: e- \3 r" B+ p& j! j) r7 S
2 K C; E4 n+ z对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候,修改特征码对付他效果好,1 b5 C' Y; X7 n: [ ^
" b: p7 S7 M7 f
对了,花指令对瑞星不是很管用。+ N0 t4 w8 `# U _2 [) K4 X
5 e, T ?; P {1 u$ v X/ n( Q
0 W+ J0 r- f0 N( g/ `做过NOD32免杀的朋友都知道,NOD32的特征码经常定位在输入表上。
! P8 m% j& L: r& T8 h* _
! z& a& U! W1 `5 k6 \我们怎么看一个杀软定位特征码是在输入表上呢?很简单 你把定位出来的特征码放在C32ASM里面看。, y7 S8 ?4 |0 J
( t, o2 w: X$ u- h6 o1 Q对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。& }1 x) j: `$ Y/ {! p
% O: a* I! Z- C `8 l2 U- o
输入表的免杀是非常重要的一课。 . K# A4 y: m: [7 \) x
! s q- M5 l# S( W常见方法 有移位法。上下互换法。以及重建输入表法。
5 g# I ^% @8 ?1 q, Q/ T# n( q/ @, P% m3 u: j2 W
移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
% V) F$ s9 j; u( r+ ]3 ]" P% M {( h: Z
上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。
! _* X/ j0 w$ Q0 b( m& o2 _0 J z+ E# R- f' s7 x5 l0 g, [
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。6 }5 I" e) u7 s6 a
' H' V+ O9 [* _6 T! f6 Q& [我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
# s, l0 ]+ b3 }7 W. O' ]
" `+ k6 d) E# ~这样免杀的效果不错。。。
$ A" d6 _% D( ]+ ^2 T+ G. N
# l) X5 `& D- l: e& I$ W. I关于免杀也就这些了,这也是个老生常谈的话题了。说来说去无非也就那几个方法。
: T7 ^; W: R( P+ J4 W9 t; z/ C X
3 m2 Z: x9 {0 j+ d什么入口点加1啊,区段加花啊 。。修改区段名字啊 。。。
3 T. s; Y. Q ^& { P! I3 D1 v$ H2 b; e- K' G6 r
大家多多了解下, 免杀不是很难的事。。5 v( i- K6 r$ `" v4 p
+ K! _* K+ S, G/ c) u# U, D
此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|